ニューヨークDFSサイバーセキュリティ規制：免除申請が必要なのはいつ？誰が対象？

はじめに

ニューヨーク金融サービス局（NYDFS）が発行したサイバーセキュリティ規制「23 NYCRR 500」は、金融セクターにおけるサイバーセキュリティ対策の新たな基準を定めた画期的な規制です。本記事では、免除申請の期限や適用対象となる企業、研修・監視に関する要件など、よくある質問に沿って分かりやすく解説します。

自己判断によるコンプライアンス判定の期日はいつ？

新規則は2017年3月1日に施行されました。8月31日から180日以内にプロセスを完了する必要があります。コンプライアンスを達成するためには、7月28日までに必要な措置を講じなければなりません。

DFS認証とは何ですか？

DFSの管轄下にある規制対象機関は、DFSサイバーセキュリティ準拠認証を取得することが義務付けられています。

誰がNYDFS規制に準拠する必要がありますか？

以下のような小規模な組織については、規制の一部要件が適用除外となります。

• 従業員数が10人以下の組織
• 過去3年間のニューヨーク事業における年間総収入が500万ドル未満の組織
• 年末時点の資産総額が1,000万ドル未満の組織

NYDFS規制（23 NYCRR 500）とは？

ニューヨーク金融サービス局（NYDFS）のサイバーセキュリティ規制（23 NYCRR 500）は、金融セクター向けの新しいサイバーセキュリティ要件を確立したものです。さらに、この規制は規制に準拠していないサービスプロバイダーにも適用されます。

NYDFSとは何の略ですか？

NYDFSは「New York Department of Financial Services（ニューヨーク金融サービス局）」の略称です。概要は以下の通りです。

• 本部：ニューヨーク州ニューヨーク市
• 責任者：リンダ・レイスウェル金融サービス局長
• 主要文書：金融サービス法
• 公式サイト：www.dfs.ny.gov

NYDFSにおける「対象企業」とは？

NYDFSは、金融サービス会社、銀行、保険会社などを監督しています。具体的には、信用金庫、生命保険を提供する多数の企業、住宅ローン業界に関わる事業者などが監督対象に含まれます。

DFS 500とは何ですか？

規制当局は、顧客情報、情報技術システム、そして顧客自身を保護するためにNY DFS 500を活用しています。規制対象機関は、顧客情報と情報技術システムを保護するために、ニューヨークDFS 500規制を遵守することが求められます。

ニューヨーク金融サービス局（NYDFS）のサイバーセキュリティ規制（23 NYCRR 500）は、金融機関に対し、サイバーセキュリティ要件を確実に遵守するための基準を満たすことを義務付けています。

DFSコンプライアンスとは？

DFSのライセンス、登録、または認可の下で運営している（あるいは運営すべき）企業、その他DFSにより規制されている企業に加え、規制対象企業にサービスを提供する非規制の第三者サービスプロバイダーも、NYDFSサイバーセキュリティ規制の対象となります。

DFS規制の歴史的意義

この規制（23 NYCRR 500）は、ニューヨーク金融サービス局（NYDFS）が過去20年間で発行した初めての包括的なサイバーセキュリティ規制です。

誰がNYDFSサイバーセキュリティ規制の対象となりますか？

以下の条件に該当する組織は、規制の対象外（免除）となる場合があります。

• 従業員数が10人未満
• 3年間の年間総収入の合計が500万ドル未満
• 年末時点の資産額が1,000万ドル未満

NYSサイバーセキュリティとは？

情報技術サービス局（ITS）の最高情報セキュリティ室（CISO）は、サイバーセキュリティおよび州の情報インフラ保護に関する州全体の方針、標準、プログラムを統括・調整しています。

研修と監視を定めた重要な部分はどこですか？

セクション500パートBの要件が、研修と監視に関連しています。セクション14では、組織が全従業員に対して定期的にサイバーセキュリティ研修を実施することが求められています。さらに、この規制では、研修内容がリスク評価で特定されたリスクを反映するように設計されなければならないという追加要件も定められています。